CISCO网络设备用户权限级别

CISCO网络设备用户权限级别

在思科路由器中定义用户权限级别有两种方式：

第一种是直接定义不同级别的enable密码，用户都用默认的级别level 1，

然后用户在登陆时用相应级别的enable密码即可进入相应的特权级；

第二种是在定义用户时直接设定此用户的特权级，此时用这组用户名和

密码登陆即可直接进入到此级别下。

要用哪种方式，就得根据具体的应用需求和使用环境来定，也可以一起使用。

级别1和15不用定义，这是系统默认就有的。

配置如下：

//为了方便理解和记忆，我定义了相同的用户名和密码，实际使用时要设置不同的密码。

!

service password-encryption //启用加密密码

!

//定义不同特权级别的密码

enable secret level 5 lv5

enable secret level 7 lv7

enable secret level 10 lv10

enable secret cisco //缺省是15级，没有限制。

!

//为不同用户定义不同的特权级和登陆密码

username test password test //一般用户缺省为level-1.

username ccna privilege 5 password ccna

username ccnp privilege 7 password ccnp

username ccie privilege 10 password ccie

username admin privilege 15 password admin

!

//为不同特权级分配不同的命令，开始先不配以下命令。

privilege exec level 5 configure

privilege configure level 7 interface

privilege interface level 10 ip address

!

//使用本地用户登陆

line vty 0 4

login local

!

测试时打开两个telnet进程，一个进入特权15级用于修改配置，

另一个以不同的用户身份进入，测试并验证修改结果。

首先打开第一个telnet进程：

当以用户test身份登陆路由器时，缺省进入级别1，提示符为">"，

然后用不同级别的enable密码即可进入相应的级别，命令为：enable level

比如想进入级别10，就用enable 10，我们以特权15级进入；

再打开第二个telnet进程：

当以用户ccna身份登陆路由器时，直接就进入了级别5，提示符为"#"，

输入"?"，列出了缺省级别5下能使用的命令，我们会发现没有"configure"命令，

不能进入配置模式，接着在第一个telnet进程里配上"privilege exec level 5 configure"，

重新以ccna登陆，发现此时可以用"configure"命令进入配置模式了；

当以用户ccnp身份登陆路由器时，直接就进入了级别7，提示符为"#"，

输入"?"，列出了缺省级别7下能使用的命令，可以看到有"configure"命令，

因为上面为级别5定义过了，而级别7比5高，所以也可以用，我们进入配置

模式，再输入"?"，可以看到配置模式下能用的命令，没有"interface"命令，

再在第一个telnet进程里配上"privilege configure level 7 interface"，

此时可以进入接口配置了，但不能用ip address命令；

同样在第一个telnet进程里配上"privilege interface level 10 ipaddress"，

以用户ccie身份登陆路由器时，直接就进入了级别10，提示符为"#"，

进入配置模式，接着进入某个接口下，此时能用ip address命令为接口配IP地址了；

当以用户admin身份登陆路由器时，直接就进入了级别15，提示符为"#"，

此为最高特权级没有限制。

相关命令的详细解释请看附件中的PDF文档

privilege 命令格式

To configure a new privilege level for users and associate commandswith

that privilege level, use the privilege command in globalconfiguration

mode. Use the no form of this command to revert to defaultprivileges for

the specified command.

privilege mode {level level | reset} command-string

no privilege mode {level level | reset} command-string